Unternehmen nutzen SAP als Geschäftsanwendung für Ihre zentralen Business-Prozesse. Sie speichern oft ihre wichtigsten Daten, einschließlich geistigen Eigentums in den SAP-Systemen. Diese Daten müssen vor unbefugten Zugriff geschützt werden. Aufgrund der drastisch steigenden Anzahl an Cyber-Angriffen ist es für Unternehmen daher essenziell, die Sicherheit ihrer SAP-System so hoch wie möglich zu halten.
1. WELCHE BEREICHE MÜSSEN IM ZUSAMMENHANG MIT SAP-SYSTEM-SICHERHEIT BETRACHTET WERDEN?
SAP-Infrastruktur: Die Sicherheit im Netzwerk, auf Betriebssystem- und auf Datenbank-Ebene.
SAP-Anwendung (Standard): Die Sicherheit in Ihrer SAP-Anwendung bzw. in der Wartung Ihres SAP-Standard-Codes.
SAP-Anwendung (Kunden-Coding): Die Sicherheit bzw. die Wartung Ihrer SAP-Eigenentwicklung.
Access-Management: Konfiguration und Überwachung der System-Kommunikation, Benutzer und Berechtigungen
Angesichts der komplexen und vernetzten Anwendungslandschaft von SAP-Systemen und anderen Anwendungen ist die Aufrechterhaltung ihrer Sicherheit von großer Bedeutung.
Wie kann ich nun sicherstellen, dass ich alle Bedingungen erfüllt habe, um Sicherheitslücken zu schließen und das Risiko auf unbefugten Zugriff bzw. Cyber-Angriffen zu minimieren?
Im Rahmen der SAP-Sicherheit gibt es mehrere Maßnahmen, die Sie ergreifen können, um Angriffe zu verhindern. Wir befassen uns in weiterer Folge mit den zwei erstgenannten Sicherheits-Bereichen.
2. SAP-INFRASTRUKTUR
Eine sichere Einrichtung Ihrer SAP-Systeme und der darunter liegenden Infrastruktur ist unerlässlich. Dabei sind vor allem eine sichere und saubere Konfiguration der Server, Datenbanken und Basis-Komponenten entscheidend, sowie ein Logging sämtlicher Veränderungen an der Infrastruktur oder an den SAP-Systemen.
SAP, sowie auch alle anderen Softwarehersteller, sind zunehmend von Sicherheitslücken betroffen. Diese Sicherheitslücken werden laufend von den Herstellern identifiziert, analysiert, behoben und zeitnah als Hotfix oder Patch den Kunden bereitgestellt.
Im SAP-Umfeld können hier folgende Korrektur-Maßnahmen betrachtet werden:
2.1 Korrekturen an SAP-Komponenten mittels Kernel- oder Datenbank-Patches
Das Patch-Management ist eine wichtige Säule der IT-Sicherheit. Updates tragen dazu bei, den funktionsfähigen Zustand und die höchstmögliche Sicherheit der Systeme zu erhalten. Darüber hinaus sind Patches auch erforderlich, um ein optimales Zusammenspiel zwischen Hard- und Software zu gewährleisten. Sicherheitsupdates sollten so zeitnah wie möglich auf den Systemen verteilt werden, um die Ausnutzung von Sicherheitslücken durch Dritte zu erschweren.
Sowohl SAP, als auch andere Datenbankhersteller geben regelmäßig kritische Patch-Updates heraus, um Softwarefehler oder bekannte Schwachstellen zu beheben, aber aus einer Vielzahl von Gründen (Wartungsfenster, Durchlaufzeiten, Personalengpässe) sind IT-Unternehmen oft nicht in der Lage, diese rechtzeitig zu installieren.
Die betriebliche Sicherstellung von Patches ist ein Bereich, der ständige Aufmerksamkeit erfordert, insbesondere mit den unterschiedlichen von SAP unterstützten Datenbanken und der zunehmenden Verteilung von Datenbankumgebungen für hohe Verfügbarkeit. Patch Management ist ein mehrschichtiger Prozess, bei dem die SAP-Landschaft kontinuierlich mit aktuellen Sicherheits-Updates versorgt wird.
2.2 Konfiguration und Auditierung Ihrer SAP-System- und Datenbank-Einstellungen
Systemeinstellungen sind die Grundlage der SAP-Sicherheit, wobei es hier zahlreiche Konfigurationsmöglichkeiten in SAP-Systemen gibt. Einstellungen werden auf Datenbankebene, durch SAP-Transaktionen oder durch die sogenannte SAP-Profilparameter vorgenommen. Sowohl bei der Installation als auch beim laufenden Betrieb der SAP-Systeme müssen sicherheitsrelevante Vorgaben für Systemeinstellungen eingehalten werden.
Die Vorgaben beinhalten, in welcher Form Sicherheitseinstellungen in einem SAP-System vergeben werden. Das Thema Zugriffs-Management welche Kommunikation bei SAP-Systemen erlaubt ist. Dabei sind vor allem die Betriebssystem-, Datenbank- und Anwendungsebene relevant. Jede dieser Ebenen erfordert die richtige Konfiguration der Sicherheitseinstellungen.
Regelmäßige Audits der System-Konfigurationen und eine effektive Anwendungsüberwachung stellen einen stabilen und sicheren Zustand Ihrer SAP-Systeme sicher. Dadurch können Probleme oder Abweichungen in Hinblick auf Stabilität, Performance und Security-Vorgaben identifiziert und zentral über Ihre SAP-Systemlandschaft angepasst werden.
Abweichungen system-kritischer Parameter vom Sollzustand müssen möglichst rasch behoben werden, um Sicherheitslücken und somit mögliche unbefugte Zugriffe von außen zu verhindern.
Durch die zentrale Steuerung stellen Sie gleichzeitig sicher, dass im Falle von Audits oder Revisionsprüfungen einfach und übersichtlich dargestellt werden kann, wie Ihre Systeme konfiguriert sind bzw. zu bestimmten Zeitpunkten waren.
3. SAP-ANWENDUNG (SAP STANDARD)
Die regelmäßige und zeitnahe Wartung der installierten SAP-Software mit Hilfe von SAP-Hinweisen (SAP Notes) bzw. Support Packages ist von entscheidender Bedeutung, um sich gegen neue Arten von Angriffen oder neu identifizierte potenzielle Schwachstellen zu schützen.
3.1 SAP Security Notes
SAP liefert dafür einmal monatlich (SAP Security Patch Day) Softwarekorrekturen in Form von SAP Security Notes, die sich ausschließlich auf die Sicherheit der SAP-Systeme konzentrieren. Diese Korrekturen sollen die SAP-Software vor potenziellen Schwachstellen oder Angriffen schützen. Sämtliche Notes, besonders die Security Notes, müssen daher regelmäßig und vor allem zeitnah aus dem SAP-Support-Portal heruntergeladen, auf Relevanz geprüft und entsprechend auf den einzelnen SAP-Systemen eingespielt werden.
3.2 SAP Support Packages
Support Packages sind eine Sammlung an Korrekturen und Optimierungen von SAP-Standard Funktionalitäten, welche in etwas längeren Abständen in die SAP-Systeme einzuspielen sind.
Der Prozess zum Einspielen und Testen von Support Packages bzw. das Prüfen von Veränderungen in Bezug auf Eigentweicklungen ist umfangreicher und daher mit einer höheren Durchlaufzeit versehen, als das einzelne Einspielen von security-relevanten SAP Notes.
4. BEST PRACTICES FÜR DIE SAP-SYSTEM-SICHERHEIT
Aufgrund der zahlreichen Risikofaktoren und den damit verbundenen organisatorischen Aufgaben kann es sehr schwierig sein, alle Risiken gleich gut zu vermeiden.
Im Folgenden möchten wir Ihnen einige Empfehlungen zum regelmäßigen Warten Ihrer SAP-Systeme geben, die Sie beim Thema der SAP-Sicherheit unterstützen sollen:
Definieren sie kritische Konfigurations-Parameter für Ihr Unternehmen
Überprüfen Sie Ihre Systemeinstellungen regelmäßig gegen die Unternehmens-Vorgaben
Protokollieren sie zur Nachverfolgung Ihre Abweichungen
Bereinigen sie Abweichungen zeitnah nach Identifikation
Erstellen sie einen Wartungs-Plan für das regelmäßige Aktualisieren Ihrer Infrastruktur-Komponenten – halten Sie sich an die Empfehlungen des Softwareherstellers (z.b. Patchen Ihrer Systeme zumindest alle 3 Monate)
Erstellen sie einen Wartungs-Plan für das regelmäßige Aktualisieren Ihrer SAP Software-Komponenten – Prüfen Sie aktiv die Veröffentlichungen an den SAP Security Patchdays
Verwenden sie Tools für die automatisierte Überwachung und Protokollierung von Systemänderungen, um Abweichungen von Vorgaben Ihres Unternehmens oder des Software-Herstellers schnell identifizieren zu können.
automatics hat sich auf die Automatisierung der oben beschriebenen Anwendungsbereiche spezialisiert und hilft Ihnen dabei, mit geringen Aufwänden Ihre SAP-System-Sicherheit zu steigern.
Folgen Sie uns auf LinkedIn oder besuchen Sie unsere Website unter www.automatics.ai